G. Love perd 420 000$ en Bitcoin à cause d'une fausse app Ledger

Le musicien américain Garrett Dutton, alias G. Love, vient de perdre 5,9 BTC, soit environ 420 000 dollars, à cause d'une application malveillante imitant le logiciel officiel Ledger. Dix ans d'épargne, vidés en quelques minutes.

Le scénario est classique mais redoutablement efficace. En configurant un nouvel ordinateur, l'artiste télécharge ce qui ressemble à l'interface légitime de Ledger. Il saisit sa phrase de récupération. C'est terminé. Les attaquants avaient accès à tout.

L'expert on-chain ZachXBT a retracé les fonds : les 5,9 Bitcoin ont été fragmentés en neuf transactions distinctes vers des adresses de dépôt sur KuCoin. Une dispersion rapide et méthodique, conçue pour rendre toute récupération quasi impossible.

Ce type d'attaque exploite un moment de vulnérabilité précis : l'installation d'un nouvel équipement. L'utilisateur est pressé, moins attentif, et une interface bien copiée passe sans éveiller de soupçon. Ledger le répète pourtant sans relâche : une seed phrase ne se saisit jamais dans une application, jamais sur un appareil connecté à Internet. Jamais.

Le problème dépasse le cas isolé. Selon le rapport annuel de l'IC3, le centre de plaintes cybercriminelles du FBI, les pertes liées aux actifs numériques ont atteint un niveau record de 11,36 milliards de dollars en 2025. Le nombre de plaintes a bondi de 21 % en un an. La perte moyenne par victime dépasse désormais 62 000 dollars. Plus de 18 500 victimes ont déclaré des pertes supérieures à 100 000 dollars sur la seule année 2025.

Ces chiffres sont brutaux. Ils montrent que les réseaux criminels s'organisent, professionnalisent leurs outils et ciblent aussi bien les anonymes que les personnalités publiques. G. Love n'est pas une exception : il est un exemple parmi des milliers.

Les boutiques d'applications officielles, App Store inclus, ne filtrent plus suffisamment ces menaces. Des faux logiciels passent les contrôles automatisés, restent en ligne quelques heures, le temps de faire des dégâts, puis disparaissent. La seule parade réelle : télécharger exclusivement depuis le site officiel du fabricant, vérifier l'URL, vérifier encore.

L'éducation à la conservation à froid reste le rempart le plus solide. Un hardware wallet ne sert à rien si la phrase de récupération est saisie dans une application tierce. C'est la règle numéro un. Elle n'est visiblement pas encore assez connue.

Ce que ça change : quand un musicien perd dix ans d'épargne sur une seule erreur de téléchargement, c'est le signal que la pédagogie sur la sécurité crypto doit changer de dimension. Les fabricants, les médias et les exchanges ont une responsabilité collective. Afficher un avertissement en petit dans les CGU ne suffit plus.